Логин пользователя в PHP: от простого к сложному

Расширенные примеры реализации логина

Пример 1: Безопасный логин с CSRF-защитой и валидацией

Полный скрипт login.php с генерацией и проверкой CSRF-токена, фильтрацией входных данных, использованием PDO и password_verify.

<?
session_start();
// Генерация CSRF-токена при загрузке формы
if (empty($_SESSION['csrf_token'])) {
    $_SESSION['csrf_token'] = bin2hex(random_bytes(32));
}
$csrfToken = $_SESSION['csrf_token'];

if ($_SERVER['REQUEST_METHOD'] === 'POST') {
    // Проверка CSRF
    if (!hash_equals($_SESSION['csrf_token'], $_POST['csrf_token'])) {
        die('Ошибка CSRF');
    }
    // Фильтрация
    $email = filter_var($_POST['email'], FILTER_VALIDATE_EMAIL);
    $password = $_POST['password'] ?? '';
    if (!$email || empty($password)) {
        $error = 'Введите корректный email и пароль.';
    } else {
        $pdo = new PDO('mysql:host=localhost;dbname=test', 'user', 'pass');
        $stmt = $pdo->prepare('SELECT * FROM users WHERE email = :email');
        $stmt->execute(['email' => $email]);
        $user = $stmt->fetch(PDO::FETCH_ASSOC);
        if ($user && password_verify($password, $user['password'])) {
            session_regenerate_id(true);
            $_SESSION['user_id'] = $user['id'];
            $_SESSION['user_name'] = $user['name'];
            header('Location: dashboard.php');
            exit;
        } else {
            $error = 'Неверный email или пароль.';
        }
    }
}
?>
<form method='post'>
    <input type='hidden' name='csrf_token' value='<?= htmlspecialchars($csrfToken) ?>'>
    <label>Email: <input type='email' name='email' required></label><br>
    <label>Пароль: <input type='password' name='password' required></label><br>
    <button type='submit'>Войти</button>
    <?php if (isset($error)): ?><p><?= htmlspecialchars($error) ?></p><?php endif; ?>
</form>

Результат: При успешном входе пользователь перенаправляется на dashboard.php. При ошибке отображается сообщение. Форма защищена от CSRF-атак.

Пример 2: Функция «Запомнить меня» (Remember Me)

Расширение функциональности с помощью долгосрочной куки и токена, хранящегося в БД. Пользователь может не вводить пароль при повторном визите в течение заданного времени (например, 30 дней).

// login.php при установке флажка 'remember'
if ($user && password_verify($password, $user['password'])) {
    $_SESSION['user_id'] = $user['id'];
    if (!empty($_POST['remember'])) {
        $token = bin2hex(random_bytes(32));
        $hashedToken = hash('sha256', $token);
        // сохраняем в отдельную таблицу remember_tokens
        $stmt = $pdo->prepare('INSERT INTO remember_tokens (user_id, token_hash, expires_at) VALUES (:uid, :hash, :exp)');
        $stmt->execute([
            'uid' => $user['id'],
            'hash' => $hashedToken,
            'exp' => date('Y-m-d H:i:s', time() + 30*24*3600)
        ]);
        setcookie('remember_token', $token, time() + 30*24*3600, '/', '', true, true);
    }
    header('Location: dashboard.php');
    exit;
}
// Файл check_remember.php при заходе без сессии
if (empty($_SESSION['user_id']) && !empty($_COOKIE['remember_token'])) {
    $token = $_COOKIE['remember_token'];
    $hashedToken = hash('sha256', $token);
    $stmt = $pdo->prepare('SELECT * FROM remember_tokens WHERE token_hash = :hash AND expires_at > NOW()');
    $stmt->execute(['hash' => $hashedToken]);
    $record = $stmt->fetch();
    if ($record) {
        $_SESSION['user_id'] = $record['user_id'];
        // удалить старый токен? лучше сгенерировать новый
    }
}

Результат: При выборе опции «Запомнить меня» и успешном входе устанавливается кука с токеном, по которой сессия восстанавливается при следующем визите. Токен в БД хранится в виде хеша, что безопасно при утечке.